أفاد باحثون أمنيون من شركة Dream باكتشاف هجوم سيبراني معقد استهدف 25 خادمًا، من بينها جدران حماية Palo Alto Networks تابعة لمنظمات حكومية أمريكية، إضافة إلى أهداف في اليابان وتايوان وكوريا الجنوبية. يُشتبه في أن مهاجمين صينيين هم من يقفون وراء هذه العملية التي بدأت في 23 أكتوبر، مستغلين ثغرات حرجة في أنظمة تشغيل وخدمات شهيرة.
كيف تم الاختراق؟
استخدم المهاجمون سلسلة استغلال مخصصة تضم ثغرة PHP2Shell (CVE-2026-109618 و CVE-2026-109619) وثغرة Fragnesia (CVE-2026-46300) في نواة Linux. تسمح ثغرات PHP2Shell بتنفيذ تعليمات برمجية عن بُعد دون مصادقة على خوادم PHP المعرضة للخطر، وقد ظهرت هذه الثغرات في أوائل الأسبوع الماضي مع درجات خطورة CVSS تبلغ 9.2. أما Fragnesia فهي ثغرة تصعيد امتيازات محلية عالية الخطورة تؤثر على نظام XFRM ESP-in-TCP الفرعي في نواة Linux، وقد أضافت CISA هذه الثغرة مؤخرًا إلى قائمة الثغرات المعروفة والمستغلة.
قام المهاجمون بتطوير استغلال PHP2Shell من أربع مراحل، مما مكنهم من تنفيذ الأوامر دون مصادقة على جدران حماية Palo Alto Networks التي تعمل بإصدارات PAN-OS 12.1 و 12.2، والتي تستخدم PHP 8.0.30. بعد ذلك، استخدموا Fragnesia لتصعيد امتيازاتهم والحصول على وصول «Root». اكتملت سلسلة الهجوم بالكامل – من الاتصال الأولي عبر HTTPS غير المصادق عليه إلى تثبيت «webshell» دائم بصلاحيات «Root» – في أقل من 15 دقيقة.
دور الذكاء الاصطناعي في الهجوم
كشف التحقيق عن أدلة تشير إلى استخدام المهاجمين لأدوات الذكاء الاصطناعي، رغم أن الهجوم لم يكن ذاتيًا بالكامل. تم العثور على أداة Claude Code من Anthropic مثبتة، بالإضافة إلى منصة الأمن الهجومي المدعومة بالذكاء الاصطناعي تُدعى aiscan، والتي كانت مُهيأة للعمل بنماذج صينية مثل DeepSeek و Kimi. كما استخدم المهاجمون مفاتيح API لخدمة FOFA للاستطلاع، وهي محرك بحث صيني لأصول الإنترنت مشابه لـ Shodan، والذي استخدموه لتحديد حوالي 19,000 جدار حماية Palo Alto Networks مكشوف للإنترنت حول العالم.
بعد اختراق جدران الحماية، نفذ المهاجمون هجمات على Active Directory، وسرقوا بيانات الاعتماد ومعلومات حساسة أخرى. ومع وصول «Root»، تمكنوا من فك تشفير كلمة مرور حساب خدمة LDAP، واستخدموها في كل النصوص البرمجية اللاحقة. كما حاولوا إنشاء حسابات Active Directory خلفية واستخراج مفاتيح توقيع SAML.
ماذا يعني هذا للمطورين؟
يُسلط هذا الهجوم الضوء على الأهمية القصوى للتحديثات الأمنية العاجلة، خاصةً للمنظمات التي تستخدم جدران حماية Palo Alto Networks أو أي خوادم PHP معرضة للخطر. نرى أن سرعة المهاجمين في استغلال الثغرات بعد وقت قصير من الكشف عنها، بالإضافة إلى استخدامهم أدوات الذكاء الاصطناعي للاستطلاع والتنفيذ، يتطلب من المطورين ومهندسي الأمن تبني نهج استباقي في إدارة الثغرات الأمنية وتأمين البنية التحتية. يجب التأكد من عدم تعرض واجهات الإدارة الحساسة للإنترنت، ومراقبة الشبكات الداخلية للكشف عن أي نشاط مشبوه قد يشير إلى اختراقات مستمرة.
المصدر: theregister.com